New IANA allocation な IP Address 利用の手引き ~1. 悲しい編 ~

Transcription

1 New IANA allocation な IP Address 利用の手引き ご協力者の皆様と 河野誠松崎吉伸水口孝則吉田友哉 BBテクノロジー株式会社株式会社インターネットイニシアティブ NTTコミュニケーションズ株式会社 NTTコミュニケーションズ株式会社

2 New IANA allocation な IP Address 利用の手引き ~1. 悲しい編 ~

3 新しいアドレスが使えない!! RIR/NIR からのアドレス割り振り 新しいアドレスブロック取得 経路を広告して利用開始 でも なんだか通信できない! wwwが見えません ほにゃららにアクセスできません なにが起こってる? 2006/07/13 maz and taka and tomo 3

4 新規アドレス利用までの簡易プロセス A) NIR/RIRへのアドレス申請 B) NIR/RIRによる審議 C) アドレス割り振り D) 上流 ISPへのアドレスFilterの解除依頼 E) IRRへの登録 F) 経路広告 G) アドレスの利用開始 2006/07/13 maz and taka and tomo 4

5 通常想定される原因 上流 ISP の問題 経路フィルタ 顧客経路フィルタの設定ミス ピアピアISP ISPへの経路広告フィルタの設定ミス ピアピアISP ISPでのフィルタ解除依頼の誤り パケットフィルタ 顧客用のパケットフィルタの更新ミス urpf が Strick モード設定され 経路が選択されていない場合 経路フィルタ IP Prefix AS-Path 生成方法 手動 IRR で自動化 IRR の登録誤り Route AS-Set 経路フィルタ パケットフィルタ 経路フィルタ 経路フィルタ ISP /8 上流 ISP Peer ISP 2006/07/13 maz and taka and tomo 5

6 障害時の状況 上流 ISP での確認 経路を受信している OK! ピア ISP に広告し 相手にも到達している OK! 状況の整理 上流 ISP は通信可能 OK! その他の ISP でも通信可能 OK! 特定のサイトのみ通信できない どの上流 ISP 経由でも通信できない 特定の DNS が引けない 2006/07/13 maz and taka and tomo 6

7 特定箇所でのフィルタ! 経路フィルタ (AS-Path/prefix) 経路が受け取ってもらえてない 更新されてない Bogon 経路フィルタ パケットフィルタ パケットが受け取ってもらえてない ホスト単位 アプリケーション単位 更新されてない Bogon パケットフィルタ さらには内部利用 プライベートアドレス代わりに使ってる その昔 誰かがこれで設定した 2006/07/13 maz and taka and tomo 7

8 Bogon とは Bogon prefix とは本来使われないアドレス空間 Bogon が使われる場合 DDoS のランダムアドレススプーフ 一時的に広報して SPAM/ フィッシング /Pharming に利用 デフォルトルートプライベートアドレスループバックアドレスリンクローカルアドレス TEST-NET ベンチマークテストマルチキャストアドレス IANA Reserve / / / / / / / / /3 2006/07/13 maz and taka and tomo 8

9 Bogon をフィルタして何が問題か? 正しい Bogon のフィルタは OK!! IANA リザーブなアドレス空間が問題 新しく IANA から割り振られた元 Bogon アドレスをフィルタしたまま!! 2006/07/13 maz and taka and tomo 9

10 更新されないフィルタの原因推察 安易な実装 その時はそれで良かった 設計者から運用者へのフィードバックがない 一個人による実装 継続性の無い運用 導入時には頑張るが 継続できてない セキュリティポリシーの崩壊 更新されていない template 新しいアドレス割当に対応していない 古いBogonリストなどを参照 2006/07/13 maz and taka and tomo 10

11 更新されていない template ベンダによる設定例 某社のコンフィギュレーションガイド みんな注意書きを読んでくれるかな? Note that these ACLs might not be up to date. Visit IANA for update list. 有志による設定例 BIND, linux, cisco, juniperなどなど secure-template iptable 等アプリケーション毎の設定例 2006/07/13 maz and taka and tomo 11

12 ある ISP での事例 河野さん よろしく お願いします! これから話される内容はあくまで 事実にもとづく話です フィクションではありません 2006/07/13 maz and taka and tomo 12

13 New IANA allocation な IP Address 利用の手引き ~2. 対応編 ~

14 IANA リザーブアドレスフィルタの状況! 複数の ISP で Bogon として設定している 大企業の Web サーバなどでも設定されている cnn.com microsoft.com フィルタの更新タイミングは? IANAのアドレス割当開始時に更新すべき マニュアルの運用では限界がある サーバは 数が多いので運用上の問題が大きい 2006/07/13 maz and taka and tomo 14

15 対応時の問題点 切り分け上の問題 障害箇所 影響範囲の特定が困難 ネットワーク ホスト単体 アプリケーション / ポート番号 フロント窓口では詳しい調査をしてもらえない 修復後も原因連絡がない コンタクトを持っていない 直接コンタクトが必要上流 ISP はサポートとして機能する程度 コンタクトの特定が難しい 2006/07/13 maz and taka and tomo 15

16 対応時の問題点 2 能動的な障害発見が困難 不特定多数のISP サーバで発生しうる している 通信障害が起こるまでわからない 影響範囲 影響アプリが特定しづらい 対応日数 連絡から対応まで 数週間から数ヶ月くらい 間接的なため強く依頼できない 疎通が完全にはならないだろう 2006/07/13 maz and taka and tomo 16

17 問題発生時の対応策 問題発生箇所の管理者に対応を依頼 サーバ ネットワークなどの管理者 個別の連絡 ( メール 電話 Messenger?) 複数の宛先へメールする電話は正しいコンタクト先を探すのが難しい inoc-dbaは便利! 上流 ISP との連携 コンタクトをサポートしてもらう 2006/07/13 maz and taka and tomo 17

18 宛先の探し方 ネットワーク系 IR/IRR whois のコンタクト (tech, admin) inoc-dba で AS の運用者に一斉同報 コンテンツ系 友達の友達 オープンな ML(NANOG 等 ) へポストする 駄目もとで上流 ISP に聞いてみる 2006/07/13 maz and taka and tomo 18

19 対応お願い時の工夫 いくつかのパターンを問い合わせる 相手の検索を手助けする 異なるマスク長でフィルタしているかもしれない例 : X.0.0.0/15 - 自 Prefix X.0.0.0/8 - IANA リザーブ X.0.0.0/3 -??? ping/traceroute を試せる宛先を用意 他の CIDR ブロック route-server looking-glass 2006/07/13 maz and taka and tomo 19

20 対応を素早くするために 状況を分かりやすく説明する 送信元 宛先 ネットワークの疎通は? アプリレベルの問題か? 問題箇所を推測して連絡する 素早く必要な人にエスカレーションしてもらう 2006/07/13 maz and taka and tomo 20

21 RIR の対応策 ( 例 :APNIC) 新規アドレスの到達性に関して問題認識有 割当前に 複数の経路を広告し疎通性を確認し公開している 最近の APNIC, RIPE, Afrinic の経路で開始 不到達の場合 : 主要 ML(*nog) への通知 APNIC は個別に ISP へ連絡を実施することも # 強制力はなく 強くは押せていない #ARIN/RIPE は未対応 2006/07/13 maz and taka and tomo 21

22 つまり 新しいアドレス空間だと届かないことがある フィルタ 勝手に内部利用 到達性を得るために不断の努力が必要 新規利用の周知 更新のためのコンタクト 2006/07/13 maz and taka and tomo 22

23 New IANA allocation な IP Address 利用の手引き ~3. 議論編 ~

24 ここでやりたいこと 対応策や事例の共有をしましょう 要注意箇所の共有!! 事前に確認した方が良いこととか 古い文章は更新を依頼しましょう テンプレートを使う時は注意書きを読んで IANA リザーブのフィルタを止める? どうせ IPv4 リザーブはあと数年??? IPv6 でやられると同じ問題がさらに大変 継続的な運用を 頑張って更新 or 自動化などの手法を検討しましょう xxnog などで訴えましょう 遠方の ISP の意識は低い??? 2006/07/13 maz and taka and tomo 24

25 提案 :RIR/LIR の協力 新規 IANA 割り振りの周知の充実化 新規ブロック (/8) はまず到達性を確認 経路を広報し到達性を確認できるアドレスを用意 経路の受信を確認 皆がping/tracerouteを試せる その後に割り振り開始 2006/07/13 maz and taka and tomo 25

26 Bogon フィルタ会場への質問!! Bogon フィルタを設定している人! IANA リザーブアドレスを設定している人! どこでしてますか?( ルータの人 ) その種別は? 経路フィルタ パケットフィルタ 2006/07/13 maz and taka and tomo 26

27 Bogon フィルタ会場への質問!(2) どこでしてますか?( サーバの人 ) その種別は? サーバ単体に関するフィルタ? アプリケーション毎のフィルタ? 更新方法は? 2006/07/13 maz and taka and tomo 27

28 Bogon Filter の自動化 (Bogon-RS 編 ) ポイント Bogon-RS から bogon 経路を受信する Bogon 経路を Blackhole するように設定する Bogon-RS は IANA/RIRs/NIRs と連携運用 1 事前に特定アドレスを破棄する設定 ip route null0 ebgp Multi-hop Bogon 経路 / /8 : /16 : Bogon-RS 2 受信時にNexthop 変更 Recived-Route Nexthop / / : : / : : Dest=bogon なパケットを破棄できる Src=bogon を防ぎたい場合には ACL Filter or urpf (loose) 等で対処 2006/07/13 maz and taka and tomo 28

29 Bogon Filter の応用 (IRR+uRPF 編 ) ポイント 経路フィルタ :IRR filter-set からがっつり生成 パケットフィルタ :urpf にまかせる 1IRR より bogon ルート情報を取得サーバ等が自動 script で config 生成 Bogon 経路の参照 JPIRR 2 入口等で urpf loose mode の適応 2006/07/13 maz and taka and tomo 29

30 Bogon Filter の自動化 (IRR 編 ) RIPE/RADB の Filter-set を利用 fltr-unallocated IANA の IPv4 未割当アドレス. fltr-martian IPv4 用特定利用 (loopback Private) アドレス. fltr-bogons 上記 2 つの合計 IRRToolSet の RtConfig を利用 2006/07/13 maz and taka and tomo 30

31 Bogon Filter の自動化 (IRR 編 ) Team Cymru が Filter-set object を更新 $ whois -h jpirr.nic.ad.jp fltr-martian filter-set: fltr-martian filter: { /8^+, /8^+, /8^+, /16^+, : } source: JPIRR $ RtConfig -s JPIRR h jpirr.nic.ad.jp access_list filter fltr-martian! no access list 100 access list 100 permit ip access list 100 permit ip : Source=RIPE のやつは changed: radb@cymru.com が若干古いですが 更新されてます ( 今度言っときます ) RtConfig を使って Filter-set object からルータの設定を作成 他 Cisco prefix-list, JUNOS, NORTEL などにも対応参照 : /07/13 maz and taka and tomo 31

32 Unallocated space 2006/07/13 maz and taka and tomo 32

33 Unallocated + special use space 2006/07/13 maz and taka and tomo 33

34 non (rough) advertised space 2006/07/13 maz and taka and tomo 34

35 謝辞 今回の発表に際し ご協力 ご助言頂いた 皆様にこの場をお借りしてお礼申し上げます NEC ヒ ック ローフ 株式会社 KDDI 株式会社 富士通株式会社 南雄一様 榎本啓様 中庭憲一様 2006/07/13 maz and taka and tomo 35

36 2006/07/13 maz and taka and tomo 36

37 New IANA allocation な IP Address 利用の手引き ~4. おまけ編 ~

38 なぜ bogon を Filter するのか? DDoS の軽減 RFC Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing 不要な経路 トラフィックの Filter の推奨 Team Cymru Bogon List RFC Ingress Filtering for Multihomed Networks RFC Special-Use IPv4 Addresses JANOG Comment 0001 (xsp のルータにおいて設定を推奨するフィルタの項目について ) /07/13 maz and taka and tomo 38

39 Bogon/Bogus の現状 Bogon Prefix 13 Prefixes (2006/7/2) Bogus ASN 参照グラフ : 参照グラフ : 2006/07/13 maz and taka and tomo 39

40 packet filter と traceroute packet filter と traceroute の関係には要注意 pingは届かないけどtracerouteは届く source addressが違う場合がある 2006/07/13 maz and taka and tomo 40

41 ping SRC addr_a echo request DST addr_b addr_a addr_b addr_c SRC addr_b echo reply DST addr_a 2006/07/13 maz and taka and tomo 41

42 traceroute だとこんな事も SRC addr_a request DST addr_b addr_a addr_b addr_c SRC addr_c reply DST addr_a 2006/07/13 maz and taka and tomo 42